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ROBERT BOSCH GMBH, 70442 Stuttgart 



Programmgesteuerte Einheit und Verfahren 



STAND DER TECHNIK 



Die Erfindung betrifft eine programmgesteuerte Einheit sowie ein Verfahren zum Betreiben dieser 



programmgesteuerten Einheit. 

1 0 Derartige programmgesteuerte Einheiten sind beispielsweise als Mikroprozessoren, Mikrocontroller, 
Signalprozessoren oder dergleichen ausgebildet. Ein Mikrocontroller weist einen Mikrocontrollerkern, 
den sogenannten Core, einen oder mehrere Speicher (Programmspeicher, Datenspeicher, etc.), Peri- 

•Leriekomponenten (Oszillator, I/O-Ports, Timer, AD-Wandler, DA-Wandler, Kommunikations- 
hnittstellen) und ein Interrupt-System auf, die gemeinsam auf einem Chip integriert sind und die 
1 5 uber einen bzw. mehrere Busse (interner, externer Daten-/Adressbus) miteinander verbunden sind. Der 
Aufbau und die Funktionsweise einer solchen programmgesteuerten Einheit ist vielfach bekannt, so 
dass darauf nicht naher eingegangen wird. 

Der Mikrokontrollerkern ist im Sinne eines modularen Mikrocontrollerkonzepts die On-Chip inte- 
20 grierte zentrale Steuereinheit (CPU). Dieser beinhaltet im wesentlichen eiri mehr oder weniger kom- 
plexes Steuerwerk, mehrere Register (Datenregister, Adressregister), eine Bussteuereinheit und eine 
Recheneinheit (ALU = arithmetisch logische Einheit), die die eigentliche Daten verarbeitende Funkti- 
on ubernimmt. Eine solche ALU-Recheneinheit kann meist nur einfache Elementaroperationen mit 
maximal zwei beteiligten Eingangsdaten (Operanden) ausfiihren. Diese Operanden sowie die Ergeb- 
15 ^Mkse der Berechnung konnen vor bzw. nach der Verarbeitung in eigens dafiir vorgesehenen Registern- 



Fehlern kommen, die sich nachteilig auf das Ergebnis auswirken. Ein solcher Fehler kann dadurch 
entstehen, dass zumindest ein eingangsseitig in die ALU-Einheit eingekoppelter Operand verfalscht 
wird. Dies kann beispielsweise dadurch geschehen, dass das jeweilige Eingangsdatum reprasentieren- 
J0 de Potenzial hoher bzw. niedriger als vorgesehen ist. Ist diese Ladungsanderung groB genug, kann ein 
einen logischen Zustand reprasentierendes Potenzial in ein einen anderen logischen Zustand reprasen- 
tierendes Potenzial geandert werden. Beispielsweise kann ein eine logische "1" reprasentierendes Po- 
tenzial in ein eine logische "0" reprasentierendes Potenzial und umgekehrt geSndert werden, wodurch 
aber das resultierende Ergebnis signifikant verfalscht wird. 



Mit der zunehmenden Entwicklung der Halbleiterprozesstechnik hin zu kleineren Abmessungen und 
niedrigeren Betriebsspannungen nimmt die Wahrscheinlichkeit solcher Fehler zu. Aus diesem Grunde 




Speicherstellen untergebracht sein. Bei der Verarbeitung der Operanden kann es allerdings zu 
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sind moderne Mikroprozessorsystenie mit einem System zu Fehlererkennung bzw. Fehlerbeseitigung 
ausgestattet, mit denen ein auftretender Fehler identifiziert und angezeigt werden kann (Failure Identi- 
fication) bzw. in Abhangigkeit von der Funktionalitat des Systems Vorkehrungen im Falle eines auf- 
tretenden Fehlers getroffen werden konnen. Ein derartiges Fehlerkorrektursystem kann beispielsweise 
5 mittels einer ECC-Fehlerkorrektur (Error Checking and Correction) ausgestattet sein, die zum Schutz 
wichtiger Daten beitragt. Urn auf Fehler reagieren zu konnen, sind modeme Mikrokontrollersysteme 
in der Regel mit einer Fehlererkennungssystemen basierend auf einer redundanten Systemfunktionali- 
tat ausgestattet. Eine Systemredundanz kann z.B. durch zeitlich versetzte mehrfache Berechnung 
(Temporary Redundancy) oder durch zusatzliche Schaltkreise (Hardware Redundancy) realisiert wer- 
1 0 den. Im ersteren Falle, in dem ein Applikationsprogramm mehrfach zeitlich hintereinander durchge- 

fiihrt wird, konnen zwar sporadische bzw. statistische Fehler, welche wahrend des Betriebes entstehen, 
erkannt werden. Allerdings erlaubt diese Art von Redundanz lediglich eine Fehlererkennung und eine 
gingeschrankte Fail-Safe-Funktionalitat, die dariiber hinaus auch sehr zeitaufwendig ist, was die Lei- 
Imgsfahigkeit des gesamten Systems beeintrachtigt. Eine Fehlerbeseitigung ist hier nicht moglich. 

15— 

Aus diesem Grunde werden hauptsachlich Fehlererkennungssysteme auf der Basis einer Hardware- 
Redundanz verwendet, bei denen die redundante, d. h. doppelt vorgesehene Hardware das Applikati- 
onsprogramm parallel ausfuhrt. In der internationalen Patentanmeldung WO 01/46806 mit dem Titel 
"Firmware Mechanism for Correcting soft Errors", welches dem Deutschen Patent Nr. DE 100 85 324 

20 Tl entspricht, ist ein Computersystem beschrieben, das eine Hardware redundante Fehlererkennung 
aufweist. Das in der WO 01/46806 beschriebene Computersystem besteht aus zwei unabhangig von- 
einander betreibbaren Mikroprozessorkernen (Cores) und einer den beiden Cores nachgeschalteten 
Vergleichseinheit In den beiden Cores konnen in einem ersten Betriebsmodus (Normalbetrieb) Be- 
fehle und Daten unabhangig voneinander bearbeitet werden. In einem zweiten, sogenannten Lock- 

15 ^^ep-Betriebsmodus (Testbetrieb) werden die beiden Cores redundant betrieben, d. h. in beiden Cores 
m Wen gleiche Befehle verarbeitet. Die Ergebnisse der im redundanten Betriebsmodus betriebenen 
^^ores werden nach MaBgabe einer Fehlerbehandlungsroutine in der Vergleichseinheit miteinander 
verglichen und bei Nichtubereinstimmen wird ein Fehlersignal erzeugt. Auf diese Weise konnen die 
Registerinhalte der Cores gesichert werden. Aus den so gesicherten Daten kann der Status des Mikro- 

0 prozessors vor dem Auftreten des Fehlerereignisses wieder hergestellt werden. 



Nachteilig an der in der WO 01/46806 beschriebenen Losung ist der dafur erforderliche Zusatzauf- 
wand zur Bereitstellung des redundanten Systems, vor allem da dort der gesamte Core doppelt vbrge- 
sehen ist. Insbesondere bei sehr komplexen Mikrocontrollern mit folglich einem komplexen Steuer- 
5 werk und einer komplexen Bussteuereiriheit ist der ftlr die Redundanz erforderliche zusatzliche Chip- 
flachenaufwand sehr groB. Bei ChipflSchen kritischen Mikrocontrollersystemen ist die Bereitstellung 
solcher Chipflachen verbrauchender Einheiten kontraproduktiv und wird vom Verbraucher zuneh- 
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mend nicht mehr akzeptiert. Allein aus diesem Grunde besteht somit der Bedarf, durch eine Verringe- 
rung der Chipflache und damit einer Reduzierung der Produktkosten sich von im wesentlichen funkti- 
onsgleichen Konkurrenzprodukten auf dem Markt zu unterscheiden. Dies stellt einen erheblichen 
Wettbewerbsvorteil dar. 

5' 

Mit der in der WO 01/46806 beschriebenen Anordnung lasst sich auBerdem keine Fehlerqualifizierung 
durchfuhren, so dass nicht festgestellt werden kann, wo der Fehler tatsachlich aufgetreten ist. Es fmdet 
lediglich eine Fehlererkennung statt. Ein Fehler kann jedoch an verschiedenen Stellen des Systems 
auftreten, zJB. kann ein Fehler auf einer Busleitung oder aufgrund einer fehlerhaften Operation inner- 
1 0 halb einer Recheneinheit bzw. einer Vergleichseinheit auftreten. Es besteht damit auch der Bedarf 
einer Fehlerqualifizierung. 



^^^ORTEELE DER ERFINDUNG 

1 5 Die erfindungsgemaBe programmgesteuerte Einheit mit den Merkmalen des Patenanspruchs 1 sowie 
das erfindungsgemaBe Verfahren mit den Merkmalen des Patentanspruchs 1 1 weist gegenuber den 
obigenbekannten Losungsansatzen den Vorteil auf, eine insbesondere hinsichtlich des Chipflachenbe- 
darfes optimierte und vereinfachte Fehlerkorrektur bereitzustellen. 

20 Der Erfmdung liegt die Erkenntnis zugrunde, dass fur eine Fehlererkennung nicht der gesamte Mikro- 
controllerkern redundant sein muss. Es reicht vielmehr vollig aus, dass lediglich die Ausfuhrungsein- 
heit, in der letztendlich die Rechenoperationen vorgenommen wird, redundant ist. Eine solche pro- 
grammgesteuerte Einheit mit Fehlererkennung kommt damit im Vergleich zu dem obigen bekannten 
System mit sehr viel weniger Chipflache aus, da auf das doppelte Vorsehen von Steuerwerk, Bussteu- 

25 ^reinheit und Register, die innerhalb eines Mikrocontrollerkerns die groBte Chipflache einnehmen, 
mL <fl»ichtet werden kann. 

Die der Erfmdung zugrunde Hegende Idee besteht somit in der Duplizierung lediglich der Ausfuh- 
rungseinheit des Mikrocontrollerkerns. Damit ist eine voll funktionsfahige Fehlererkennung moglich, 

30 wobei die restlichen Komponenten eines Mikrocontrollerkerns, wie zum Beispiel Steuerwerk und 

Bussteuereinheit, durch andere Fehlererkennungsmechanismen basierend auf Fehlererkennung- oder 
Fehlerkorrekturcodes abgesichert werden. Es lasst sich damit eine programmgesteuerte Einheit mit 
Fehlererkennungseinrichtung bereitstellen, die mit deutlich geringerer Chipflache auskommt als her- 
kommliche programmgesteuerte Einheiten, die zur Fehlererkennung einen mit zwei Mikrocontroller- 

35 kemen ausgestatteten, sogenannten Dual-Core-Mikrocontroller aufweisen. Die Chipflache der erfin- 
dungsgemaBen programmgesteuerten Einheit bzw. deren Fehlererkennungseinrichtung ist zwar gr6Ber 
als die Chipflache von sogenannten Single-Core programmgesteuerten Einheiten, die also lediglich 
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einen Mikrocontrollerkern und somit keine Fehlererkennungseinrichtung aufweisen. Jedoch ist die 
Chipflache der erfmdungsgemaBen programmgesteuerten Einheit bzw. deren Fehlererkennungsein- 
richtung gegentiber den Dual-Core-Mikrocontrollern significant reduziert. 

5 Der besondere Vorteil des erfmdungsgemaBen Verfahrens bzw. der erfindungsgemaBen Anordnung 
besteht auch darin, dass ein Fehler innerhalb eines Taktzyklus erkannt werden kann und somit sehr 
schnell entsprechende KorrekturmaBnahmen eingeleitet werden konnen. Auf diese Weise ist die Lei- 
stungsfahigkeit des gesamten Systems nahezu unbeeintrachtigt. 

0 Ein weiterer Vorteil der vorliegenden Erfindung besteht darin, dass neben der Erkennung eines Fehlers 
auch eine Fehlerqualifizierung moglich ist, dass heifit es kann bestimmt werden, an welchem Fehlerort 
innerhalb der programmgesteuerten Einheit der Fehler aufgetreten ist. 

^^^^orteilhafte Ausgestaltungen und Weiterbildungen der Erfindung sind den Unteranspriichen sowie der 
5 Beschreibung unter Bezugnahme auf die Zeichnung entnehmbar. 

Die erfindungsgemaBe programmgesteuerte Einheit weist einen ersten Betriebsmodus, nachfolgend als 
Normalbetrieb bezeichnet, und einen zweiten Betriebsmodus, nachfolgend als Testbetrieb bezeichnet, 
auf. Die programmgesteuerte Einheit weist einen einzigen Mikrocontrollerkern auf, der jedoch mit 
0 zwei Ausfiihrungseinheiten ausgestattet ist Unter einer Ausfiihrungseinheiten ist z. B. eine arithrne- 
tisch logische Einheit (ALU) zu verstehen, in der die eigentlichen Datenverarbeitungsfunktionen vor- 
genommen werden. Die Ausfuhrungseinheit wird haufig auch als Rechenwerk oder Recheneinheit 
bezeichnet. Im Normalbetrieb konnen, miissen jedoch nicht notwendigerweise, die beiden Ausfiih- 
rungseinheiten Befehle parallel verarbeiten. Im Testbetrieb erfolgt die Fehlererkennung. Im Testbe- 
werden gleiche Befehle parallel in beide Ausfiihrungseinheiten eingekoppelt. Aus dem Vergleich 
eiden Ergebnisse kann somit das Vorhandensein eines Fehlers detektiert werden. 

Zu diesem Zweck ist eine Fehlererkenmmgseinrichtung vorgesehen, die im Testbetrieb eine Fehlerer- 
kennung und/oder eine Fehlerkorrektur vornimmt. Eine Korrektur eines in der Ausfuhrungseinheit 
entdeckten Fehlers erfolgt nach MaBgabe einer Fehlerbehandlungsroutine (Fehlerkorrekturverfahren) 
durch Wiederholung eines entsprechenden Befehls. Hierzu sind je nach Beschaffenheit des Cores 
Schattenregister fur die Eingangsregister notwendig. 

Zum Zwecke der Fehlerkorrektur weist die Fehlererkennungseinrichtung einen Kodierer auf, mittels 
dem Daten mit einem Fehlererkennungs- und/oder einem Fehlerkorrekturcode versehen werden. Dabei 
werden Ergebnisdaten, die in Folge der Berechnung ausgangsseitig an den Ausfiihrungseinheiten ab- 
greifbar sind, mit dem entsprechenden Fehlerkerkennungscode bzw. Fehlerkorrekturcode versehen. 
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Eingangsseitig in die Ausfuhrungseinheit eingekoppelte Daten werden typischerweise nicht mit einem 
Fehlererkennungs- und/oder Fehlerkorrekturcode versehen. Es wird hier lediglich eine Prufsumme der 
eingekoppelten Daten gebildet. Diese Prufsumme wird mit den in den Registern abgelegten Priifsum- 
men verglichen und bei einer Verfalschung werden die Daten korrigiert und nochmals in die Ausfuh- 
5 rungseinheit eingekoppelt, jedoch ohne Prufsumme. 



In einer ersten Ausgestaltung weist die Fehlererkennungseinrichtung eine erste Vergleichseinheit auf, 
die den beiden Ausfuhnmgseinheiten ausgangsseitig nachgeschaltet ist. Diese Vergleichseinheit ver- 
•gleicht die von den Recheneinheiten berechneten Ergebnisdaten bzw. deren Fehlerkorrekturcodierung 
1 0 nach MaBgabe einer Fehlerbehandlungsroutine. Im Falle eines erkannten Fehlers, d. h. fur den Fall, 

dass die Ergebnisdaten bzw. die Fehlerkorrekturcodierung nicht ubereinstimmen, wird dies als Fehler 
erkannt und ein Fehlersignal ausgegeben. 




| einer weiteren Ausgestaltung weist die Fehlererkennungseinrichtung eine zweite Vergleichseinheit 
1 5 auf, die zumindest einer der Ausftihrungseinheiten eingangsseitig vorgeschaltet ist. Diese Vergleichs- 
einheit vergleicht die einer jeweiligen Ausfuhrungseinheit zugefuhrten Operanden bzw. deren Fehler- 
korrekturcodierung nach MaBgabe einer Fehlerbehandlungsroutine. Bei Vorhandensein eines Fehlers, 
d. h. bei Abweichen der in der Vergleichseinheit miteinander verglichenen Eingangsdaten bzw. Feh- 
lerkorrekturkodierung, wird dies als Fehler interpretiert, woraufhin ein Fehlersignal ausgegeben wird. 

20 

In einer weiteren Ausgestaltung ist ein gemeinsames Datenregister, welches im Testbetriebsmodus 
beiden Ausftihrungseinheiten zugeordnet ist, vprgesehen. In dieses gemeinsame Datenregister lassen 
sich Daten, die beispielsweise uber einen Bus den Ausftihrungseinheiten zugeftihrt werden sollen, 
ablegen. 

■ P ner weiteren Ausgestaltung kann ein Schattenregister vorgesehen sem, in dem die den jeweiligen . 
^^Ksfuhrungseinheiten im Testbetriebsmodus vor der Berechnung zuletzt zugefuhrten Eingangsdaten 
abgelegt sind. In einer sehr einfachen Ausgestaltung kann ein solches Schattenregister als einfaches 
FIFO ausgebildet sein. Dieses FIFO wird erst dann weitergeschaltet und kann damit wieder beschrie- 
30 ben werden, wenn der Vergleich innerhalb der Vergleichseinheiten ergibt, dass kein Fehler vorliegt. 



Hierftir ist vorteilhafterweise eine Steuereinrichtung vorgesehen, die eingangsseitig mit der Fehlerer- 
kennungseinrichtung und ausgangsseitig mit dem Schattenregister gekoppelt ist. Erkennt die Fehlerer- 
kennungseinrichtung, dass kein Fehler vorliegt, dann wird von der Steuereinrichtung ein Freigabesi- 
35 gnal erzeugt, welches das Schattenregister zum erneuten Beschreiben wieder freigibt. 
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Die erfindungsgemaBe programmgesteuerte Einheit kann beispielsweise als Mikrokontroller, Mikro- 
prozessor, Signalprozessor oder wie auch immer ausgestaltete Steuereinheit realisiert sein. 

In einem sehr vorteilhaften erfindungsgemaBen Verfahren werden die Eingangsdaten bzw. die berech- 
5 neten Ergebnisdaten oder deren Fehlerkodierung miteinander verglichen. Ergibt dieser Vergleich, dass 
die Daten bzw. Codes nicht miteinander Ubereinstimmen, dann wird dies als Fehler interpretiert und es 
wird ein Fehlersignal erzeugt. 

In einer besonders vorteilhaften Ausgestaltung wird fur jeden dieser Fehler ein eigenes Fehlersignal 
1 0 ausgegeben, so dass aus dem Fehlersignal eine Lokalisierung des Fehlerortes moglich ist. Es lassen 
sich damit verschiedene Fehlerarten voneinander unterscheiden. Beispielsweise kann so ein Fehler, 
der durch fehlerhafte Codierung auftritt, von einem Fehler, der aufgrund von iiber die Busleitungen 
ingekoppelten fehlerhaften Daten entsteht oder der innerhalb der Recheneinheit generiert wird, unter- 
ieden werden. Damit ist in sehr vorteilhafter Weise neben einer Fehlerquantifizierung auch eine 
1 5 Fehlerqualifizierung moglich. 



^^ing< 
■ Bhie 



In einer besonders vorteilhaften Ausgestaltung werden die eingangsseitig in die Recheneinheiten ein- 
gekoppelten Operanden zunachst beiden Ausfuhrungseinheiten zugefiihrt. Erst anschlieBend wird aus 
diesen Eingangsdaten eine Prufsumme (z.B. Parity, CRC, ECC) gebildet und den eingangsseitigen 
20 Vergleichern zugefiihrt. Damit wird das Datenverarbeitungssystem durch die eingangsseitige Fehler- 
korrektur in seiner Leistungsfahigkeit nicht nennenswert beeintrachtigt. 

In einer Weiterbildung des erfindungsgemaBen Verfahrens werden die abgelegten Eingangsdaten der 
letzten Berechnung erst wieder neu beschrieben, wenn ein Vergleich innerhalb einer Fehlererken- 
25 ^^mgseinrichtung ergibt, dass kein Fehler vorliegt. Auf diese Weise wird gewahrleistet, dass die ur- 
tf/Mnglich eingekoppelten Daten bzw. deren Codierung auch bei einer fehlerhaften Berechnung in 
^^mer der Ausfuhrungseinheiten bzw. bei einem Codierungsfehler nicht verloren gehen. 



ZEICHNUNGEN 

30 

Die Erfmdung wird nachfolgend anhand der in den Figuren der Zeichnung angegebenen Ausfuhrungs- 
beispiele naher erlautert. Es zeigt dabei: 



Figur 1 ein erstes Funktionsschaltbild, anhand dessen die erfindungsgemaBe programmgesteuerte 
35 Einheit sowie deren Betrieb beschrieben wird; 
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Figur 2 ein zweites Funktionsschaltbild, anhand dessen die erfindungsgemaSe programmgesteuerte 
Einheit sowie deren Betrieb naher beschrieben wird. 

. BESCHREffiUNG DER AUSFUHRUNGSBEISPIELE 
5 

In den Figuren der Zeichnung sind gleiche bzw. funktionsgleiche Elemente - sofern nichts anderes 
angegeben ist - mit gleichen Bezugszeichen versehen worden. Die erfindungsgemaBe programmge- 
steuerte Einheit sowie deren Komponenten wie Mikrocontrollerkern (CPU), Speichereinheiten, Peri- 
pherieeinheiten, etc. sind der besseren Ubersichtlichkeit halber in den Figur 1 und 2 nicht dargestellt 
1 0 worden. 

In den Figur 1 und 2 sind mit den Bezugszeichen 1 und 2 jeweils arithmetisch logische Einheiten 

«LU) bezeichnet. Eine jeweilige ALU-Einheit 1, 2 weist zwei Eingange und einen Ausgang auf. In 
em Testbetrieb konnen die zur Ausfuhrung vorgesehenen Operanden direkt vom Bus 3 in die Ein- 
1 5 gange der ALU-Einheiten 1, 2 eingekoppelt werden (nicht dargestellt) oder vorher in einem eigens 

dafttr vorgesehenen Operandenregister 8, 9 abgelegt sein. Diese Operandenregister 8, 9 sind direkt mit 
dem Datenbus 3 gekoppelt. Die beiden ALU-Einheiten 1, 2 werden also aus den gleichen Operanden- 
registem 8, 9 versorgt. Zusatzlich kann vorgesehen sein, dass die jeweiligen Operanden iiber den Bus 
bereits mit einer ECC-Kodierung versehen sind, welche in den Registerbereichen 8', 9' abgelegt wer- 
20 den. 

Bei Einkopplung der jeweiligen Operanden in die ALU-Einheiten 1, 2 muss besonderer Wert auf die 
korrekte Dateneingabe gelegt werden. Werden z. B. die gleichen fehlerhaften Operanden in die beiden 
ALU-Einheiten 1, 2 eingekoppelt, ist ein Fehler am Ausgang der ALU-Einheiten 1, 2 nicht erkennbar. 

25 ^^toiuss daher sichergestellt sein, dass zumindest eine der ALU-Einheiten 1, 2 einen korrekten Daten- 
W«abewert erhaltbzw. auch beide ALU-Einheiten 1, 2 unterschiedliche, jedoch falsche Dateneinga- 
bewerte erhalten. Dies wird dadurch sichergestellt, dass von zumindest einem Eingangswert einer 
ALU-Einheit 1, 2 eine PrOfsumme (z.B. Parity, CRC, ECC) gebildet wird. In einer eigens vorgesehe- 
nen Vergleichseinheit 5, 6 wird die ECC-Kodierung 10', 1 1' aus diesen zusatzlichen Datenregistern 10, 

30 1 1 mit der ECC-Kodierung 8\ 9' aus dem ursprunglichen Quellregister 8, 9 verglichen. Optional k6n- 
nen auch die Eingangsdaten aus den Registem 10, 1 1 mit denen aus den Quellregistern 8, 9 verglichen 
werden (nicht dargestellt). Ergibt sich ein Unterschied in der ECC-Kodierung bzw. bei den Operan- 
den, dann wird dies als Fehler interpretiert und es wird ein Fehlersignal ausgegeben. 



35 



Dieser Vergleich erfolgt vorteilhafterweise wahrend der Bearbeitung der Operanden in den ALU- 
Einheiten 1, 2, so dass diese eingangsseitige Fehlererkennung und Fehlerkorrektur nahezu ohne Lei- 
stungsverlust einhergeht. Erkennt eine der Vergleichseinheiten 5, 6 einen Fehler, so kann die Berech- 
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nung innerhalb des nachsten Zyklus wiederholt werden. D'abei ist der Einsatz eines Schattenregisters 
empfehlenswert, urn immer die Operanden der letzten Berechnung zu sichem, damit sie in einem 
Fehlerfall schnell wieder verfiigbar sind. Auf die Bereitstellung eines Schattenregisters kann allerdings 
verzichtet werden, wenn die jeweiligen Operandenregister 10, 1 1 erst wieder durch ein Freigabesignal 
5 auf Grund des Nichtvorhandenseins eines Fehlers erneut beschrieben werden. Im Falle eines Fehlers 
liefern die Vergleichseinheiten 5, 6 ein Fehlersignal, wodurch die Operandenregister 10, 1 1 nicht er- 
neut beschrieben werden. 

Die ALU-Einheiten 1, 2 erzeugen ausgangsseitig jeweils ein Ergebnis. Die von den ALU-Einheiten 1, 
1 0 2 bereitgestellten Ergebnisdaten bzw. deren ECC-Kodierung werden in den Ergebnisregistern 12, 13, 
12', 13' abgelegt. Diese Ergebnisdaten. und/oder deren Kodierung werden in der Vergleichseinheit 14 
miteinander verglichen. Im Falle des Nichtvorhandenseins eines Fehlers wird ein Freigabesignal 16 

•reugt. Dieses Freigabesignal 16 wird in die Freigabeeinrichtung 15 eingekoppelt, welche dazu zu 
ranlasst wird, die Ergebnisdaten auf einen Bus 4 zu schreiben. Uber den Bus 4 kSnnen diese Ergeb- 
1 5 nisdaten dann weiter verarbeitet werden. 

Das Freigabesignal 16 kann femer dazu genutzt werden, die Register 8-11 wieder freizuschalten, so 
dass die nachsten Operanden von dem Bus 3 ausgelesen werden konnen und in den ALU-Einheiten 1, 
2 verarbeitet werden kSnnen. 

20 

Mit der Anordnung in Figur 1 wird das Ergebnis nicht uberpruft. ffier werden lediglich die Ergebnis- 
daten in der Vergleichseinheit 14 miteinander verglichen. Eine Uberprufung der ECC-Kodierung der 
Ergebnisdaten wird erst durch die Anordnung in Figur 2 moglich, bei der sowohl die Ergebnisdaten, 
als auch deren ECC-Codierung miteinander in der Vergleichseinheit 14 verglichen werden. 

■ Bder in den Figuren 1 und 2 angegebenen Fehlererkennungsanordnung werden alle transienten 
iSiler, permanenten Fehler und auch Laufeeitfehler erkannt. Laufeeitfehler innerhalb einer ALU- 
Einheit 1, 2 werden erkannt, wenn das Ergebnis nicht oder zu spat zu der Vergleichseinheit 12 gelangt 
und somit ein Vergleich mit einem Teilergebnis erfolgt. Durch die Absicherung der Operandenregister 
30 8, 9, 10, 1 1 mit Fehlererkennungs- und Fehlerkorrekturcode und dem Vergleich der Endergehnisse ist 
der jeweilige Fehlerort und Fehlerzeitpunkt genau zu lokalisieren. Somit kann auf eine transiente Sto- 
rung sehr schnell reagiert werden. 
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Es ergeben sich somit die folgenden M6glichkeiten der Fehlerlokalisierung: 

- Ergibt ein Vergleich der Ergebnisdaten in der Vergleichseinheit 1 4 einen Unterschied, dann 
kann auf einen Fehler innerhalb einer der ALU-Einheiten 1, 2 geschlossen werden. 
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- Ergibt ein Vergleich der ECC-Kodierung in einer der Vergleichseinheiten 5, 6 einen Unter- 
schied, dann kann auf ein fehlerhafles Signal von dem Bus 3 bzw. vorgeschalteten Koxnpo- 
nenten geschlossen werden. 

- Ergibt ein Vergleich der ECC-Kodierung in der Vergleichseinheit 14 einen Unterschied, dann 
kann auf eine fehlerhafte Kodierung des Ergebnisses geschlossen werden. 

Obwohl die vorliegende Erfindung vorstehend anhand eines bevorzugten Ausfuhrungsbeispiels be- 
schreiben wurde, ist sie darauf nicht beschrankt, sondern auf vielfaltige dem Fachmann bekannte Art 
und Weise modifizierbar. 
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Programmgesteuerte Einh eit und Verfahren 



PATENT ANSPRtJCHE 

1 Programmgesteuerte Einheit, mit einem einzigen Kontrollerkem (Core), der eine erste und zumin- 
dest eine zweite Ausfflhrungseinheit (1, 2) aufweist, die in einem ersten Betriebsmodus unabhan- 
gig voneinander betreibbar sind und die in einem zweiten Betriebsmodus parallel die gleichen Be- 
fehle abarbeiten. 

Programmgesteuerte Einheit nach Anspruch 1, 
dadurch gekennzeichnet, 

dass eine Fehlererkennungseinrichtung (5, 6, 10, 1 1, 14) vorgesehen ist, die in dem zweiten Be- 
triebsmodus nach MaBgabe einer Fehlerbehandlungsroutine eine Fehlererkennung und/oder Feh- 
lerkorrektur vornimmt. 

Programmgesteuerte Einheit nach Anspruch 2, 
dadurch gekennzeichnet, 

dass die Fehlererkennungseinrichtung (5, 6, 10', 1 V, 13', 14) einen Kodierer (10', 1 1'. 13') auf- 
weist, der den Ausfiihrungseinheiten (1, 2) eingangsseitig zugefuhrte Eingangsdaten und/oder von 
einer jeweiligen Ausfuhrungseinheit berechnete Ausgangssignale mit einem Fehlererkennungsco- 
de und/oder mit einem Fehlerkorrekturcode versieht. 

Programmgesteuerte Einheit nach einem der Anspriiche 2 oder 3, 
dadurch gekennzeichnet,, 

dass die Fehlererkennungseinrichtung (5, 6, 10, 11, 14) denbeiden Ausfuhrungseinheitenaus- 
gangsseitig nachgeschaltete Vergleichseinheit (14) enthalt, die von den Ausfiihrungseinheiten ( 1, 
2) berechnete Ergebnisdaten und/oder deren Fehlerkorrekturcodierung nach MaBgabe einer 
Fehlerbehandlungsroutine auf das Vorhandensein eines Fehlers vergleicht und bei Vorhandensein 
eines Fehlers ein Fehlersignal ausgibt. 

i 5. Programmgesteuerte Einheit nach einem der Anspriiche 2 bis 4, 
dadurch gekennzeichnet, 
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dass die Fehlererkennungsemrichtung (5, 6, 10, 1 1, 14) zumindest eine zweite, zumindest einer 
Ausfuhrungseinheit (1, 2) eingangsseitig vorgeschaltete Vergleichseinheit enthalt, die einer jewei- 
ligen Ausfflhrungseinheit eingangsseitig zugefuhrte Eingangsdaten mit den mit einer Priifsumme 
(z.B. Parity, CRC, ECC) versehenen Eingangsdaten nach MaBgabe einer Fehlerdetektierroutine 
5' auf das Vornandensein eines Fehlers vergleicht und bei Vorhandensein eines Fehlers ein Fehlersi- 

gnal ausgibt. 

6. Programmgesteuerte Einheit nach einem der vorstehenden Anspriiche, 
dadurch gekennzeichnet, 
1 0 dass zumindest ein Datenregister (8, 9) vorgesehen ist, welches zumindest einer der Ausfiihrungs- 

einheiten (1, 2) zugeordnet ist, welches ausgangsseitig sowohl mit den Eingangen der Ausfuh- 
rungseinheiten (1, 2) und den diesen vorgeschalteten Vergleichseinheit (5, 6) verbunden ist und in 
welchem die Eingangsdaten fur die Ausfohrungseinheiten (1, 2) ablegbar sind. 




1 5 7. Programmgesteuerte Einheit nach einem der vorstehenden Anspriiche, 
dadurch gekennzeichnet, 

dass ein Schattenregister vorgesehen ist, in dem die den Ausfuhrungseinheiten (1, 2) vor der Be- 
rechnung in den Ausfuhrungseinheiten zuletzt zugefuhrten Eingangsdaten abgelegt sind. 

10 8. Programmgesteuerte Einheit nach Anspruch 7, 
dadurch gekennzeichnet, 
dass das Schattenregister als FIFO ausgebildet ist. 

9. Programmgesteuerte Einheit nach einem der vorstehenden Anspriiche, 
?5 ^^^d adurch gekennzeichnet, 

MMiass eine eingangsseitig mit der Fehlererkennungseinrichtung (5, 6, 10, 11, 14) und ausgangsseitig 
^^mit dem Schattenregister gekoppelte Steuereinrichtung vorgesehen ist, die ein Freigabesignal er- 
zeugt und damit das Schattenregister erst dann freigibt, wenn von der Fehlererkennungseinrich- 
tung (5, 6, 10, 11, 14) kein Fehler erkannt wird. 

30 

10. Programmgesteuerte Einheit nach einem der vorstehenden Anspriiche, 
dadurch gekennzeichnet, 

dass die programmgesteuerte Einheit als Mikrocontroller oder Mikroprozessor ausgebildet ist. 

35 11. Verfahren zum Bertreiben einer programmgesteuerten Einheit nach einem der vorstehenden An- 
spriiche, 

dadurch gekennzeichnet, 
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dass die Eingangsdaten und/oder die berechneten Ergebnisdaten und/oder deren Fehlercodierung 
miteinander verglichen werden und bei NichtQbereinstimmung des Ergebnisses des Vergleichs ein 
Fehlersignal erzeugt wird. 

5* 12. Verfahren nach Anspruch 1 1, 

dadurch gekennzeichnet, 

dass fur jede Fehlerart ein eigenes Fehlersignal ausgegeben wird. 

13. Verfahren nach einem der Anspriiche 1 1 bis 12, 
10 dadurch gekennzeichnet, 

dass die Eingangsdaten zunachst beiden Ausfuhrungseinheiten (1, 2) zugefuhrt werden und im 
AnschluB daran aus den Eingangsdaten der Fehlerkorrekturcode gebildet wird. 




\ Verfahren nach einem der Anspriiche 1 1 bis 13, 
15 dadurch gekennzeichnet, 

dass die abgelegten Eingangsdaten der letzten Berechnung erst wieder neu beschrieben werden, 
wenn ein Vergleich dieser Eingangsdaten oder der aus diesen Eingangsdaten berechneten Ergeb- 
nisdaten zu keinem Fehlersignal fiihrt. 



20 15. Verfahren nach einem der Anspriiche 11 bis 14, 
daduTch gekennzeichnet, 

dass die Ergebnisdaten erst bei Nichtvorhandensein eines Fehlersignals auf den Bus gelegt 
den. 
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Programmgesteuerte Einheit und Verfahren 
ZUS AMMENF AS SUNG 

Die vorliegende Erfindung schafft eine programmgesteuerte Einheit, mit einem einzigen Kontroller- 
kem (Core), der eine erste und zumindest eine zweite Ausahrungseinheit aufweist, die in einem ersten 
Betriebsmodus unabhangig voneinander betreibbar sind und die in einem zweiten Betriebsmodus par- 
allel die gleichen Befehle abarbeiten. 
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